云服务器 ECS：基于 g9i TDX 机密计算实例一键构建 OpenClaw 机密 AI Agent

安全架构

Confidential Agent部署中的核心数据均在TEE（Trusted Execution Environment，可信执行环境）边界内闭环流转，以下资产受到保护：

安全架构自底向上覆盖硬件、启动链、运行时、密钥和通信五个层级：

部署架构

部署流程如下：

1. 凭证准备：在部署机上导出阿里云AccessKey、百炼API Key和钉钉凭据（可选）。

2. 一键部署：执行一键部署脚本，自动完成依赖安装、可信镜像构建、参考值上传、云资源创建、远程证明和机密资源注入。

3. 建立加密通道：脚本自动启动TNG connect隧道，建立部署机与TDX实例之间的RATS-TLS加密通道。

4. 访问服务：通过钉钉、Web、桌面客户端或TUI访问OpenClaw，所有流量经RATS-TLS加密通道进入TDX实例。

步骤一：准备凭证

一键部署脚本需要通过阿里云AccessKey创建云资源（ECS实例、VPC、安全组等），通过百炼API Key为OpenClaw提供模型推理能力。在部署机上执行以下命令，将凭证导出为环境变量。请将尖括号中的占位符替换为实际值。

export ALICLOUD_ACCESS_KEY="<YOUR_ACCESS_KEY>"
export ALICLOUD_SECRET_KEY="<YOUR_SECRET_KEY>"
export DASHSCOPE_API_KEY="<YOUR_DASHSCOPE_API_KEY>"

如需启用钉钉接入，继续执行以下命令。请将占位符替换为钉钉企业内部应用的实际凭据。

export DINGTALK_BOT_CLIENT_ID="<YOUR_DINGTALK_CLIENT_ID>"
export DINGTALK_BOT_CLIENT_SECRET="<YOUR_DINGTALK_CLIENT_SECRET>"

其中<YOUR_DINGTALK_CLIENT_ID>和<YOUR_DINGTALK_CLIENT_SECRET>为钉钉企业内部应用的Client ID和Client Secret，在钉钉开发者后台创建应用后获取。

步骤二：执行一键部署

在部署机上执行以下命令进入交互式部署：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh

脚本默认进入交互模式，会自动询问缺失的阿里云凭证、百炼API Key、钉钉凭据、OpenClaw Gateway Token和operator CIDR。常用默认配置如下：

一键脚本会自动探测部署机公网出口IP，并在交互模式下询问operator access CIDR：

非交互部署示例：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- deploy-openclaw \
  --non-interactive \
  --yes \
  --region cn-beijing \
  --zone-id cn-beijing-i \
  --instance-type ecs.g9i.xlarge \
  --disk-gb 200 \
  --enable-dingtalk

如需仅安装本机依赖、构建Confidential Agent组件和tools镜像，不创建云资源，执行以下命令：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- install-only

非交互指定CIDR示例：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- deploy-openclaw \
  --non-interactive \
  --yes \
  --allowed-cidr 203.0.113.10/32

步骤三：等待部署完成并确认

脚本会自动完成以下动作：

1. 安装部署机依赖。

2. 构建confidential-agent、confidential-agentd、cai-pep，并将confidential-agent安装到/usr/local/bin。

3. 构建confidential-agent-tools:latest，并在部署机安装与镜像内匹配的OpenClaw CLI。

4. 构建OpenClaw可信镜像，启用FDE、dm-verity和UKI。

5. 将镜像参考值上传Rekor透明日志。

6. 创建阿里云云资源并启动TDX ECS。

7. 远程证明通过后注入OpenClaw配置、百炼API Key、钉钉凭据和Gateway Token。

8. 启动本地TNG connect隧道，并执行Web可达性检查、Gateway WebSocket probe和chat probe。chat probe会经过百炼API真实回包，作为端到端可用性确认。

部署成功后，脚本会输出类似以下信息：

Confidential Agent one-click summary
  state_dir: /root/.confidential-agent
  work_dir:  /root/.confidential-agent/one-click
  service:   openclaw
  region:    cn-beijing
  zone_id:   cn-beijing-i
  instance:  ecs.g9i.xlarge
  cidr:      203.0.113.10/32
  dingtalk:  1
  token:     <generated-or-provided-token>
  web:       http://127.0.0.1:18789/openclaw
  ws/api:    ws://127.0.0.1:18789
  tui:       openclaw tui --url ws://127.0.0.1:18789 --token "<generated-or-provided-token>"

步骤四：访问OpenClaw服务

服务就绪后，可以通过以下四种方式访问OpenClaw。所有访问流量都经过TNG RATS-TLS通道进入TDX实例。

http://127.0.0.1:18789/openclaw

ssh -L 18789:127.0.0.1:18789 root@<DEPLOY_MACHINE_PUBLIC_IP>

ssh -L 18789:127.0.0.1:18789 root@<DEPLOY_MACHINE_PUBLIC_IP>

openclaw tui --url ws://127.0.0.1:18789 --token <YOUR_GATEWAY_TOKEN>

步骤五（可选）：释放资源

不再需要服务时，在部署机上执行以下命令释放云资源：

curl -fsSL https://raw.githubusercontent.com/inclavare-containers/confidential-agent/one-click/one-click/install.sh | sh -s -- cleanup \
  --state-dir "$HOME/.confidential-agent"

验证运行环境可信

OpenClaw内置tdx-remote-attestation skill。当询问安全问题时会自动触发远程证明，验证当前运行环境的安全状态。

触发方式：在钉钉、Web或TUI中询问"我的数据安全吗？"、"这个环境可信吗？"等安全相关的问题。

返回内容：

验证PEP策略拦截

cai-pep是为机密AI Agent设计的运行时门禁机制。当OpenClaw通过exec工具执行命令时，请求会先经过cai-pep进行策略匹配，再进入隔离的Docker sandbox执行。

PEP提供三层防护：

1. 命令级拦截：基于黑名单拒绝高危命令，例如curl、wget、nc、ssh、docker等。

2. 路径级拦截：阻止访问敏感路径，例如/etc、/proc、/root、OpenClaw配置目录等。

3. 网络隔离：sandbox默认无网络权限，即使命令绕过黑名单也无法发起外连。

以下命令会被PEP拒绝：

例如，当Agent尝试执行以下命令访问云元数据服务时：

运行：curl http://169.254.169.254/latest/meta-data/

PEP会识别到curl在拒绝命令列表中，直接拦截该请求并返回拒绝信息，阻止凭证泄露。

验证供应链完整性

部署流程默认使用Rekor透明日志存储镜像参考值，远程证明过程中自动从Rekor获取日志条目进行验证。您可以通过以下方式对Rekor日志条目进行审计，验证供应链完整性。

find "$HOME/.confidential-agent" -name "*.rekor-meta.json" -print

Created entry at index 1205944956, available at: https://rekor.sigstore.dev/api/v1/log/entries/<uuid>

rekor-cli verify --log-index 1205944956 --rekor_server https://rekor.sigstore.dev

Computed Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090
Expected Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090

rekor-cli loginfo --rekor_server https://rekor.sigstore.dev

Verification Successful!

安全组规则

一键部署过程中将自动创建安全组规则。如需后续修改，请确保保留以下端口：

百炼API Key与配额

百炼API Key决定了实例可用的模型与配额。建议：

1. 使用最小必要配额的API Key，避免使用主账号Key。

2. 注入实例后定期轮换：删除secrets/gateway.token、重新export DASHSCOPE_API_KEY后重跑一键脚本即可。

3. 结合百炼控制台的访问审计，对调用量异常做告警。

peering 'ops' already exists with a different CIDR

原因：当前状态目录中已存在不同CIDR的operator peering。

解决：重新传入与已存在peering一致的--allowed-cidr；或在交互模式中确认替换；非交互模式下追加--yes。

Shelter is required或SLSA generator is required

原因：部署机未安装Shelter，或Rekor模式找不到Shelter的SLSA generator。

解决：

• 确认仓库hack/目录下存在shelter-*.rpm，或通过--shelter-rpm指定RPM路径。

• 重新安装Shelter RPM，确保/usr/libexec/shelter/slsa/slsa-generator存在。

• 仅本地开发验证场景下，使用--reference-values sample跳过Rekor流程。

Web端口打不开

原因与排查：

1. 查看connect.log：tail -F "$HOME/.confidential-agent/one-click/connect.log"。

2. 检查ECS实例安全组是否放通ops和deployer两个operator peering。

3. 部署机公网出口IP发生变化时，重新运行一键脚本，或执行peering remove deployer后按新出口IP添加deployer peering。

Chat probe失败

原因：本方案的推理由百炼API完成，chat probe失败通常与百炼配置有关。

解决：

1. 检查DASHSCOPE_API_KEY是否正确且已生效。

2. 检查所选模型在百炼控制台是否处于可用状态、是否欠费。

3. 通过debug SSH登录guest，查看OpenClaw网关日志排查。

钉钉无响应

原因与排查：

1. 部署时是否传入--enable-dingtalk或在交互模式中启用钉钉。

2. guest内openclaw status是否显示DingTalk channel为ON。

3. journalctl -u cai-openclaw-gateway.service -n 200 --no-pager中是否存在dingtalk连接错误；如出现HTTP 401，优先检查钉钉Client ID和Client Secret是否与钉钉开放平台一致。

4. 钉钉应用是否具备发送/接收消息所需的权限。

cai-pep拒绝所有工具调用

原因：PEP策略配置异常或服务未正常启动。

解决：使用Debug镜像部署后，通过SSH连接登录TDX实例，查看cai-pep日志排查具体拦截原因：

journalctl -u cai-pep.service -n 200 --no-pager